SCAP

Share

|

Security Content Automation Protocol (SCAP) è una suite complessivo delle norme che includono CVE, CVSS, CPE, XCCDF, e OVAL. Il NIST mantiene il contenuto SCAP, che definisce il modo in tutti questi protocolli di lavorare insieme in modo automatico. Esso contiene anche il contenuto di tutte queste norme nel NVD.

SCAP ha anche un programma di convalida del prodotto per aiutare a valutare i prodotti per la compatibilità con i vari standard aperti. NIST fornisce descrizioni dettagliate delle aree di convalida, abbreviato qui per dare un senso delle possibili aree di convalida:

Federal Desktop Core Configuration (FDCC) scanner: Un prodotto con la capacità di audit e di valutare un sistema di destinazione al fine di determinare la sua conformità ai requisiti FDCC, che erano il risultato del governo degli Stati Uniti OMB Memo M-07-18. Tale nota si afferma che il fornitore della tecnologia dell'informazione deve certificare le applicazioni sono perfettamente funzionanti e funzionare correttamente in quanto destinato a sistemi che utilizzano il FDCC.

• Scanner configurazione Authenticated: Un prodotto con la capacità di audit e di valutare un sistema di destinazione per determinare la conformità con una serie definita di requisiti di configurazione tramite registro di sistema target sui privilegi.

 

• Autenticato scanner di vulnerabilità e patch: Un prodotto con la capacità di eseguire la scansione di un sistema obiettivo di individuare e identificare la presenza di difetti di software noti e valutare lo stato di patch software per determinare la conformità con una politica definita patch usando registro di sistema target sui privilegi.

 

• Scanner di vulnerabilità non autenticati: Un prodotto con la capacità di determinare la presenza di difetti di software conosciuto da valutare il sistema di destinazione tramite la rete.

 

• Intrusion detection e sistemi di prevenzione: i prodotti che i sistemi di monitoraggio delle reti o per attività non autorizzate o dannosi. Un IPS protegge attivamente il sistema di destinazione o di rete nei confronti di tali attività.

 

• Patch di bonifica: La possibilità di installare le patch su un sistema di destinazione in conformità con una politica definita patching.

 

• Bonifica Misconfiguration: La capacità di modificare la configurazione di un sistema di destinazione, al fine di renderla conforme con una serie definita di raccomandazioni di configurazione.

 

• Asset management: la capacità di scoprire attivamente, audit, e valutare le caratteristiche delle attività, compresi apparecchi e concesso in licenza dei prodotti; posizione all'interno del mondo, una rete, o di un'impresa, la proprietà e le altre informazioni relative a risorse IT come le workstation, server e router.

 

• Asset banca dati: La capacità di memorizzare e passivamente relazione sulle caratteristiche delle attività, compresi apparecchi e concesso in licenza dei prodotti; posizione all'interno del mondo, una rete, o di un'impresa, la proprietà e le altre informazioni relative a risorse IT come le workstation, server e router.

Database di vulnerabilità: un prodotto che contiene un catalogo di sicurezza falla questioni legate software etichettato con CVEs se del caso. Questi dati vengono resi accessibili agli utenti attraverso una capacità di ricerca o di un mangime di dati e contiene le descrizioni dei difetti di software, i riferimenti alle informazioni aggiuntive (ad esempio i link alle patch o avvisi di vulnerabilità), ed i punteggi di impatto.

• Database di configurazione errata: un prodotto che contiene un catalogo di sicurezza, problemi di configurazione relativi etichettato con CVEs se del caso.

 

• Strumento di Malware: La capacità di identificare e segnalare la presenza di virus, cavalli di Troia, spyware o altro malware su un sistema di destinazione.

Quando un prodotto è valutata e convalidata, è per una o più di queste aree. Lo status di validazione dei prodotti è pubblicato sul sito del NIST Web pubblico. In corso di validazione non garantisce la qualità e l'affidabilità del prodotto, solo che soddisfa i criteri stabiliti dal programma SCAP.

---